- Anzeigen -


Sie sind hier: Home » Markt » Tipps & Hinweise

PKI, nur ein Teil des Puzzles


Wie Hersteller einen IoT-Botnet-Angriff verhindern können
Die Wurzel des Übels sind schlechte Authentifizierungspraktiken

- Anzeigen -





Wir haben uns in diesem Jahr bereits mit der Bedrohung durch sogenannte Thingbots beschäftigt – also Bot-Netzen, die aus Zombie-IoT-Geräten bestehen. In jüngster Zeit hatten wir dann Gelegenheit zu beobachten, dass und wie dieses Bedrohungsszenario inzwischen Realität geworden ist. Thingbots wurden bei raffinierten DDoS-Angriffen auf die Seite des Journalisten und IT-Sicherheitsbloggers Brian Krebs, KrebsOnSecurity, und beim DNS-Anbieter Dyn eingesetzt. Letzterer führte dazu, dass Nutzer auf einige der am häufigsten besuchten Websites nicht mehr zugreifen konnten.

Wie aber werden aus "unschuldigen" Dingen Thingbots?
Nehmen wir das Mirai-Botnet, verantwortlich für die beiden oben genannten Attacken, als Beispiel dafür, wie Thingbots funktionieren. Mirai umfasst derzeit weltweit rund 500.000 kompromittierte IoT-Geräte wie Überwachungskameras, Router und digitale Videorekorder [DVRs]). Dabei scannt Mirai kontinuierlich auf Schwachstellen und richtet sich gegen Geräte mit häufig verwendeten Standard-Anmeldeinformationen. Man nimmt an, dass mithilfe von Wörterbuchangriffen die anvisierten Geräte in zirka 10 Minuten von Mirai kompromittiert oder übernommen werden können.

Die Wurzel des Übels sind schlechte Authentifizierungspraktiken. Die Standard-Passwörter werden während des Herstellungsprozesses im Gerät hartcodiert. Die Größe des Mirai-Botnets zeigt deutlich, dass, wenn das Gerät einmal in Gebrauch ist, die Standard-Passwörter nicht mehr aktualisiert worden sind. Das macht sie anfällig von Mirai oder anderen Bot-Netz-Typen ausgenutzt zu werden.

Bot-Netze verhindern: Best Practices für Gerätehersteller
Werfen wir einen Blick auf einige Best Practices, die Hersteller in Betracht ziehen sollten, um ihre Geräte von Anfang an davor zu schützen, Teil eines Thingbots zu werden.

Prüfen Sie die Funktionen der Geräte. Brauchen sie tatsächlich einen Remote-Zugang und müssen sich die Geräte wirklich remote verwalten lassen? Oder kann man diese Authentifizierung innerhalb der Geräteumgebung eliminieren? Damit wäre dann wenigstens das Schlupfloch geschlossen, das Mirai derzeit benutzt um auf Geräte zuzugreifen und sie anschließend zu übernehmen. Wenn man unbedingt einen Remote-Zugang braucht oder verwenden will, sollte man grundsätzlich starke Geräteauthentifizierung verwenden.

Mirai macht sich nicht ohne Grund den anfälligsten Teil von Geräte-Passwörtern zunutze. Standard-Passwörter werden nicht nur selten geändert, sie sind auch selten einzigartig. Oftmals werden sie für zahlreiche Geräte wiederverwendet.

OWASP hat einige grundlegende Tipps zur Passwortrichtlinie für IoT-Gerätehersteller zusammengestellt, die helfen derartige Angriffe in Zukunft zu verhindern. Empfehlenswert ist es allerdings über das Passwort hinaus starke Authentifizierungsmethoden zu erwägen.

PKI beispielsweise bietet einige Vorteile für eine starke Geräteauthentifizierung. Strukturell ist eine Public Key Infrastructure so angelegt, dass es technisch schwierig bis unmöglich ist, sie zu täuschen. Verwendet man PKI als Teil des Authentifizierungsprozesses, verhindert das Wörterbuch-basierte Angriffe, wie im Fall des Mirai-Botnets.

Mit PKI hat man außerdem die Möglichkeit, eindeutige Anmeldeinformationen zur Authentifizierung für die jeweiligen Entitäten (sowohl Geräte als auch Dienste) zu verwenden. Zum Zeitpunkt des Gerätebaus ist es besser eindeutige Authentifizierungsanmeldeinformationen pro Gerät aufzunehmen statt gemeinsamer oder häufiger Anmeldeinformationen für eine Reihe von Geräten. Noch besser ist es, Hardware-basierte Sicherheitselemente einzusetzen, um die privaten Schlüssel auf den Geräten zu schützen und zu verhindern, dass die Anmeldeinformationen von den Geräten selbst gestohlen oder abgezogen werden.

Erwägen Sie starke Authentifizierung für administrative Benutzer und Dienste
Wenn Sie das Einloggen in das Gerät selbst für administrative Zwecke - entweder für Benutzer oder Dienste - aktivieren wollen, müssen Sie auch hier stärkere Authentifizierungsmethoden verwenden wie beispielsweise ein PKI-basiertes Vertrauensmodell.

Hierbei erhalten die Geräte schon bei der Produktion oder der Bereitstellung einen Trust Anchor (einem Basisschlüssel) von einer Zertifizierungsstelle. Dazu kommen unter Umständen weitere Authentifizierungsregeln, wie etwa zu erwartende Domains von vertrauenswürdigen Servern. Auf diese Weise nutzen Geräte stärkere Authentifizierungsmethoden beim Ausführen von Diensten als nur Benutzernamen und Passwort.

Autorisierte Software- und Firmwareupdates sicherstellen
Als zusätzliche Sicherheitsebene sollten Geräte mit einer Logik konfiguriert werden, die Softwareupdates verifiziert, die von einem bestimmten Dienst geschickt werden. Das trägt dazu bei nur vertrauenswürdige Software zu installieren und keine Malware wie es beim Dyn-Angriff der Fall war. Die Validierungslogik basiert ebenfalls auf Trust Anchors oder Roots. Sie wird dann bereits während des Herstellungsprozesses auf dem Gerät bereitgestellt und verifiziert vor der Ausführung oder Installation ob eine Software vertrauenswürdig ist oder nicht.

Dazu muss es auf dem Gerät selbst eine Möglichkeit geben, Trusted Roots so zu verwenden. Ein weiterer Bereich, in dem man auf PKI zurückgreifen kann. Etwa in dem man signierten Code verwendet, der an die Identität des Entwicklers gebunden ist. Die im digitalen Zertifikat repräsentierte digitale Signatur und Identität werden dann vor der Ausführung verifiziert. So lässt sich z. B. festlegen, dass nur Software der Firma XYZ, die mit einem bestimmten Zertifikatstyp signiert ist, installiert wird.

PKI, nur ein Teil des Puzzles
IoT-Sicherheit ist für jeden Gerätehersteller ein immens wichtiges Thema. Es gibt viele praktikable Ansätze, Angriffe wie solche über das Mirai-Bot-Netz zu verhindern. Wir haben uns an dieser Stelle nur mit einem Teilaspekt beschäftigt. Der Umfang der gewählten Lösung hängt von der Art des Risikoprofils ab und den Strategien des Unternehmens es zu senken. Es existiert aber bereits eine recht gut etablierte Basis von Mindestanforderungen, die IoT-Anbieter umsetzen sollten. Tipps dazu liefern OWASP, OTA und Underwriters Lab. (GlobalSign: ra)

eingetragen: 22.12.16
Home & Newsletterlauf: 24.01.17


GlobalSign: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Tipps & Hinweise

  • Besonders leichte Beute für Hacker

    Nachdem zwei große Ransomware-Angriffe über den Globus gefegt sind und zahlreiche große Organisationen davon betroffen waren, haben viele Unternehmen begonnen, ihre Cyber-Sicherheitspolitik zu überdenken. Doch viele kleine Unternehmen sind immer noch ungeschützt - und sie könnten jederzeit Ziel eines Ransomware-Angriffs werden, da solche Angriffe in Intensität und Raffinesse zunehmen werden. "Kleine Unternehmer und CEOs sollten sich darauf konzentrieren, eine Denkweise in ihrem Unternehmen zu pflegen, die - anstatt die Menschen ohne Grund zu verschrecken - die Kultur der Cybersicherheit und einen vorsichtigen Ansatz für alle Online-Aktivitäten aufbaut", sagte Marty P. Kamden, CMO von NordVPN. "Eine Organisation vor Cyberattacken zu schützen, bedeutet eine vollständige Zusammenarbeit aller Mitarbeiter - und jeder muss die Do's und Don'ts des Online-Verhaltens kennen."

  • Natürliche Personen können haftbar gemacht werden

    Die EU-Datenschutz-Grundverordnung (EU-DSGVO) ist bereits seit dem 24. Mai 2016 beschlossene Sache - die Schonfrist läuft allerdings am 25. Mai 2018 ab. Zu diesem Stichtag gilt für alle Unternehmen verbindlich die neue Rechtslage. Grund genug, sich mit dem Thema jetzt genau auseinanderzusetzen und die erforderlichen Maßnahmen zu treffen, bevor zeitliche Engpässe für die Umsetzung entstehen. G Data stellt hierzu ein Whitepaper bereit und zählt fünf Änderungen auf, die für Unternehmer von entscheidender Bedeutung sind.

  • Datenkraken greifen immer hemmungsloser zu

    Die ausufernde Datenschnüffelei lässt viele Menschen kalt. Zu Unrecht. Die Brabbler AG erläutert fünf Gründe, warum auch in der digitalen Welt absolut jeder rechtschaffene Bürger etwas zu verbergen hat. Die Datenkraken greifen immer hemmungsloser zu. Sie zeichnen die Spuren der User in der digitalen Welt umfänglich auf, verknüpfen sie miteinander und erstellen umfassende Profile. Dabei ist die Schnüffelei längst nicht mehr auf PCs, Tablets oder Smartphones beschränkt; Connected Cars und Sprachassistenten sorgen dafür, dass Datensammler mittlerweile Gespräche im Auto oder in den eigenen vier Wänden abhören können. Vielen Menschen ist das gar nicht bewusst; und diejenigen, die es wissen oder zumindest ahnen, juckt es oft nicht groß. Sie hätten ja schließlich nichts zu verbergen und deshalb auch nichts zu befürchten. Die Brabbler AG, die sich für den Schutz der Privatsphäre im Internet einsetzt, zeigt, dass das ein Irrtum ist. Sie erläutert, welche Folgen die Datenspionage für ganz normale Bürger haben kann.

  • Schwerpunkt auf Spear-Phishing legen

    Trustwave warnt vor Malware-Angriffen, die so geschickt getarnt sind, dass geschädigte Unternehmen diese Angriffe gar nicht oder sehr spät erkennen - nämlich dann, wenn es bereits zu spät ist und wertvolle Unternehmensdaten bereits gestohlen wurden. Diese oft als Fileless Malware bezeichnete Schadsoftware wird von Cyberkriminellen immer öfter eingesetzt und lässt sich mit herkömmlichen Sicherheitslösungen im Regelfall nicht erkennen. Trustwave gibt Tipps, wie man diese Art von Angriffen unterbinden kann. Fileless Malware, im Deutschen oft als "Dateilose Malware" bezeichnet, ist kein neues Phänomen, erfreut sich aber laut aktuellen Untersuchungen von Trustwave zunehmender Beliebtheit bei Cyberkriminellen.

  • Industriestandards für den Datenschutz

    Die EU-Datenschutz-Grundverordnung (EU-DSGVO) ist seit längerem in aller Munde. Sie zielt darauf ab, den Datenschutz innerhalb der EU zu stärken und regelt auch den Transfer von Daten über die EU hinaus. Wenn sie am 18. Mai 2018 in Kraft tritt und von den Behörden durchgesetzt werden kann, hat sie Auswirkungen für jedes Unternehmen, das Daten in irgendeiner Weise in der EU verarbeitet. Tenable Network Security stellt im ersten Teil ihrer Serie zur Datenschutz-Grundverordnung drei essentielle Schritte vor, um die sicherheitstechnischen Herausforderungen der EU-DSGVO zu bewältigen.